F5 網路 BIG-IP：Apache Tomcat 6.x 弱點 (K58084500)
high Nessus Plugin ID 107137
語言:
概要
遠端裝置缺少供應商提供的安全性修補程式。說明
Apache Tomcat 6.0.45 之前的 6.x 版、7.0.68 之前的 7.x 版、8.0.31 之前的 8.x 版，以及 9.0.0.M2 之前的 9.x 版中的工作階段持續實作不當處理工作階段屬性，其允許經驗證的遠端使用者透過 Web 應用程式，在工作階段中放置特製的物件，進而繞過預定的 SecurityManager 限制，並在有權限的內容中執行任意程式碼。(CVE-2016-0714) 影響：經驗證的遠端使用者可能會利用此弱點，使用 web 應用程式在工作階段中放置特製的物件，藉此繞過預定的安全性管理員限制而在需要權限的內容中執行任意程式碼。BIG-IP/Enterprise Manager BIG-IP 和 Enterprise Manager 系統不使用受影響的功能。存在容易受此問題影響的軟體；但並未以容易曝露此弱點的方式使用該軟體。若攻擊者具有本機系統網路的存取權，就會發生此弱點的 Traffix SDC 漏洞；只能從內部網路存取 Tomcat 服務。解決方案
升級至列於 F5 解決方案 K58084500 中的其中一個無弱點版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 107137
檔案名稱: f5_bigip_SOL58084500.nasl
版本: 3.3
類型: local
已發布: 2018/3/6
已更新: 2020/3/16
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 6.5
媒介: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS v3
風險因素: High
基本分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
弱點資訊
CPE: cpe:/a:f5:big-ip_access_policy_manager, cpe:/a:f5:big-ip_advanced_firewall_manager, cpe:/a:f5:big-ip_application_acceleration_manager, cpe:/a:f5:big-ip_application_security_manager, cpe:/a:f5:big-ip_application_visibility_and_reporting, cpe:/a:f5:big-ip_global_traffic_manager, cpe:/a:f5:big-ip_link_controller, cpe:/a:f5:big-ip_local_traffic_manager, cpe:/a:f5:big-ip_policy_enforcement_manager, cpe:/a:f5:big-ip_wan_optimization_manager, cpe:/a:f5:big-ip_webaccelerator, cpe:/h:f5:big-ip, cpe:/h:f5:big-ip_protocol_security_manager
必要的 KB 項目: Host/local_checks_enabled, Host/BIG-IP/hotfix, Host/BIG-IP/modules, Host/BIG-IP/version
修補程式發佈日期: 2018/3/5
弱點發布日期: 2016/2/25
參考資訊
CVE: CVE-2016-0714